Beiträge: 10
Themen: 0
Registriert seit: 21.09.2013
(16.11.2014, 12:42)frostschutz schrieb: @chrissio:
Als unnötig würde ich die Funktion nicht bezeichnen. Eigentlich soll die Funktion ja die Admins dazu bringen mal ihr MyBB upzudaten, und das ist normalerweise um Sicherheitslücken aus der Welt zu schaffen... daß es jetzt so mißbraucht wurde ist eine sehr unglückliche Geschichte
aber das kann man fixen und wird wohl auch gemacht https://github.com/mybb/mybb/issues/1617
Recht hast Du ja irgendwo, aber als verantwortungsbewusster Admin kümmere ich mich selbst darum, die von mir verwendete Software auf aktuellem Stand zu halten.
Was man aber lobend erwähnen muss, ist die Informationspolitik des MyBB-Teams.
Bei M$ erfährt man so was in der Regel, wenn der Bug dann nach 2-3 Jahren gefixt wurde... und aus inoffiziellen Foren...
Beiträge: 24
Themen: 5
Registriert seit: 03.07.2013
MyBB-Version: 1.8
Krasse Sache, bin selbst laut log wohl auch nicht betroffen, aber nen log kann man doch auch teilweise löschen. Da bringt auch das schnellste Updaten nichts, wenn die Software so ne Lücke hat, wofür man selber nichts kann. Dürftig.
Beiträge: 58
Themen: 17
Registriert seit: 24.02.2013
(16.11.2014, 12:42)frostschutz schrieb: @Trommler: Wenn du betroffen bist, dann ändere zumindest die loginkeys von allen. Denn um gültige Session--Cookies zu erzeugen, braucht der Angreifer das Passwort gar nicht unbedingt solange der loginkey passt.
Code:
UPDATE mybb_users SET loginkey='';
# oder wenn paranoid:
UPDATE mybb_users SET loginkey=SHA1(CONCAT(RAND(),UUID(),loginkey));
Danach sollten sich alle neu einloggen müssen.
Admins/Mods sollten trotzdem ihr Passwort ändern, und den restlichen Usern sollte das zumindest empfohlen werden. Die Passwörter in der Datenbank sind gesalzen, was Bruteforce einzelner User-Passwörter aufwendiger, aber nicht unmöglich macht.
Danke. Mein Admin-PW hatte ich natürlich geändert.
Wie führe ich den Code aus?
Beiträge: 9.560
Themen: 197
Registriert seit: 27.12.2007
MyBB-Version: 1.8
Beiträge: 58
Themen: 17
Registriert seit: 24.02.2013
Achso, in SQL-Statement. Hätte ich auch selbst drauf kommen können.
Danke!
Beiträge: 25.752
Themen: 269
Registriert seit: 20.09.2005
(16.11.2014, 00:42)Falkenauge Mihawk schrieb: Wieso wird die Datei, die die Antwort für den Versioncheck liefert, auf Github gehostet und nicht auf dem mybb.com Server?
Spielt das eine wesentliche Rolle? Über einen gehackten Account mit Serverzugriff kann das genauso passieren und vielleicht noch mehr. Natürlich gibt es da Schutzmaßnahmen, aber bei gezielten Angreifen lassen sich diese womöglich auch austricksen.
Man kann nur hoffen, dass die Server von Softwareherstellern, bei denen Updates und Erweiterungen direkt im Admin-CP installiert werden können, nie gehackt werden. In dem Fall könnte das noch weiterreichende Konsequenzen haben.
Bitte die Foren-Regeln beachten und im Profil die verwendete MyBB-Version angeben.
Beiträge: 289
Themen: 8
Registriert seit: 31.08.2007
MyBB-Version: 1.8.7
(16.11.2014, 22:52)StefanT schrieb: Man kann nur hoffen, dass die Server von Softwareherstellern, bei denen Updates und Erweiterungen direkt im Admin-CP installiert werden können, nie gehackt werden. In dem Fall könnte das noch weiterreichende Konsequenzen haben.
https://www.mybb.de/forum/thread-23871.html geht auch ohne
(nicht böse gemeint^^)
Durchschnittliche Nährwerte dises Posts:
Brennwert: 2192kJ/526kcal | Eiweiß: 5,1g | Kohlenhydrate: 50,9g - davon Zucker 47,2g | Fett: 33,5g - davon gesättigte Fettsäuren: 18,6g | Ballaststoffe: 6,8g | Enthält eine Phenylalaninquelle | Enhält Spuren von Nüssen und Spam.
Beiträge: 25.752
Themen: 269
Registriert seit: 20.09.2005
Das ist klar, bei automatischen Updates ist das aber nochmal kritischer... Da muss der Hacker dafür sorgen, dass eine neue Version angezeigt wird und schon wird das Update von zahlreichen Leuten mit einem Klick eingespielt.
Bitte die Foren-Regeln beachten und im Profil die verwendete MyBB-Version angeben.
Beiträge: 2.318
Themen: 13
Registriert seit: 09.11.2008
17.11.2014, 10:36
(Dieser Beitrag wurde zuletzt bearbeitet: 17.11.2014, 10:40 von frostschutz.)
Man sollte auch den Versionscheck nochmal laufen lassen, da sich der Schadcode sonst auch im update_check Cache von MyBB festsetzen kann.
In ACP->Tools->Cache->update_check darf es keine <script> Tags geben. Falls doch, Cache erneuern und dann nochmal Versionscheck und dann schauen obs weg ist. Wenn nicht, cacht noch irgendwas anderes...
Beiträge: 2.039
Themen: 10
Registriert seit: 28.06.2007
MyBB-Version: 1.8.x
Das kann ich bestätigen.
Ich habe es heute Morgen in einem meiner Foren bemerkt, als eine falsche Version 1803 angezeigt wurde, dass das Script sich in den update_check Cache geschrieben hatte.